- Kaspersky 发现一种伪装成 Microsoft Office 插件的新型恶意软件，专门针对加密货币用户。
- 该恶意软件会在受感染设备上安装挖矿程序和 ClipBanker，使攻击者能够污染复制到剪贴板的加密货币地址。
- 地址投毒已成为加密货币领域主要的网络钓鱼诈骗类型之一。
安全公司卡巴斯基（Kaspersky）警告称，针对加密货币用户的新恶意软件正通过软件托管网站SourceForge传播。在最近的一份出版物中，该公司表示，该网站上的软件项目“Office Package”包含针对加密货币用户的地址欺骗恶意软件。
根据报告，Office Package软件是一个合法项目，包含Microsoft Office加载项。然而，更深入的调查揭示了该包的更多细节，因为它包含指向不同URL的下载链接。
其表示：
“正在调查的项目被分配了域名officepackage.sourceforge[.]io，但你访问该域名时显示的页面与sourceforge.net上的officepackage页面截然不同。”
有趣的是，该恶意软件的下载过程相当复杂，用户需经过三个网址才能下载文件。这种复杂的流程似乎是诱骗用户相信他们正在下载真实应用程序的骗局的一部分。
卡巴斯基安全专家指出，最终的安装文件为installer.msi，大小为700MB，攻击者故意夸大文件大小以使其看起来像真实的软件安装包。去除填充的垃圾字节后，实际大小仅为7MB。
运行该安装程序后，用户会不知不觉地在设备上安装两个恶意应用：一个挖矿程序和ClipBanker。ClipBanker可通过地址投毒功能，将剪贴板中复制的加密货币地址替换为攻击者的地址，导致用户将资金发送到错误的地址。
安全专家写道：
“此次活动中的关键恶意行为归结为运行两个AutoIt脚本。Icon.dll重启AutoIt解释器并注入挖矿程序，而Kape.dll则执行相同操作但注入ClipBanker。”
与此同时，他们还指出，此次攻击主要针对俄罗斯目标。迹象包括 officepackage.sourceforge[.]io 网站的俄语界面，以及 4,604 名用户中 90% 在 1 月至 3 月下旬期间遭遇恶意软件的是俄罗斯用户。
地址投毒诈骗日益增多
卡巴斯基的报告与近期多家区块链安全公司报道的针对加密货币用户的地址投毒攻击激增情况相符。根据 Scam Sniffer 的数据，3 月发生的第三大网络钓鱼事件便是由地址投毒所致。
Cyvers 还报告称，地址投毒诈骗在 3 月前 3 周内造成超过 120 万美元的损失，加上 2 月的 180 万美元损失。该公司表示，其 AI 威胁检测系统已识别出地址投毒攻击的增加。
虽然大多数地址投毒攻击源于攻击者手动向受害者发送小额交易，且使用的地址与受害者常用地址相似，但利用允许攻击者更改剪贴板中地址的复杂恶意软件，表明不良行为者仍在不断演变。
安全专家一致认为，解决此问题的首要方案是用户避免从不可信来源下载软件。他们指出，恶意行为者通常利用非官方软件下载网站分发恶意应用，因此使用此类网站的用户必须意识到相关风险。
然而，他们指出，该恶意软件带来了更为严重的问题，因为它为攻击者提供了一种创新的方式来入侵受感染的系统。因此，存在一种可能性：其创建者可能决定不仅针对加密货币用户，还将该软件出售给更危险的恶意行为者。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
